Методы и средства обеспечения информационной безопасности в системе 1С:Предприятие 8.1

Основные методы защиты информационных систем
Идентификация и аутентификация субъектов.
Авторизация субъектов.
Аудит событий, имеющих отношение к безопасности.

Идентификация и аутентификация пользователей
Создание и редактирование списка пользователей.
Выбор способа аутентификации пользователей.

Способы аутентификации
Средствами системы 1С:Предприятие (по имени и паролю).
Средствами ОС Microsoft Windows (по имени и паролю или с помощью смарт-карт).

Создание учетной записи пользователя

Повышение достоверности аутентификации средствами 1С:Предприятие
Установка минимальной длины паролей пользователей.
Включение проверки сложности паролей.
Удаление имени пользователя из списка выбора при входе в систему.

Повышение достоверности аутентификации средствами ОС Windows
Установка минимальной длины и сложности паролей.
Ограничение максимального срока действия паролей.
Включение требования неповторяемости паролей и их минимального срока действия.
Неотображение последнего имени пользователя, входившего в систему.
Вход в систему с использованием смарт-карт.

Объединение аутентификации средствами 1С:Предприятие и средствами Windows
Наиболее безопасный способ аутентификации пользователей.
Требуется принудительное отображение диалога аутентификации пользователя средствами 1С:Предприятие (параметр командной строки /WA+).

Авторизация пользователя в системе 1С:Предприятие
Назначение роли.
Назначение интерфейса.

Назначение пользователю роли и интерфейса

Создание и назначение роли
Роли создаются для отдельных должностных обязанностей.
Каждому пользователю системы может быть назначена одна или несколько ролей.

Создание и редактирование роли
Выбор объекта (объектов) конфигурации.
Выбор прав доступа, разрешенных для выбранного объекта.
Учет наследования (иерархии) прав доступа.

Создание и редактирование роли
Возможность автоматической установки прав доступа к новым объектам.
Возможность ограничения доступа к данным на уровне отдельных полей и записей.
Ограничение доступа к данным может быть определено с помощью конструктора или путем создания и редактирования именованных шаблонов ограничения доступа.

Механизм интерфейсов
Создание наборов команд главного меню и элементов панели инструментов, доступных для пользователя.
Возможность дополнительного ограничения полномочий конкретного пользователя.

Создание пользовательского интерфейса

Обновление конфигурации базы данных
Необходимо после создания ролей и интерфейсов, чтобы новым пользователям информационной системы могли быть назначены созданные роли и интерфейсы.

Настройка журнала регистрации системы 1С:Предприятие
Определение событий, которые должны регистрироваться в журнале.
Выбор периода времени, по истечении которого журнал регистрации будет сохраняться в новом файле.
Возможность сокращения записей журнала до истечения указанного периода путем их удаления и, при необходимости, сохранения в файле.

Настройка журнала регистрации системы 1С:Предприятие
Возможность сохранения разделения журнала по периодам и его объединения с ранее сохраненным журналом.
Возможность автоматического обновления после заданного интервала времени при просмотре журнала регистрации.

Настройка журнала регистрации

Информация о событии в журнале регистрации
Уровень события (ошибка, предупреждение, информация, примечание).
Дата и время события.
Имя и представление приложения, вызвавшего событие.
Имя и представление события.
Глобальный идентификатор и имя пользователя.
Данные события и др.

Отбор записей в журнале регистрации

Сохранение журнала регистрации
В формате 1С:Предприятие (*.elf).
В формате XML.

Выводы
В системе 1С:Предприятие 8.1 реализованы все необходимые методы обеспечения безопасности информационных систем.
В механизме парольной аутентификации предусмотрены возможности ее усиления и объединения с механизмом аутентификации пользователей ОС Windows.
При авторизации пользователей используется гибкий и мощный механизм ролевого разграничения доступа к объектам информационной системы.

Выводы
Для дополнительного разграничения прав пользователей в системе может применяться механизм интерфейсов.
Средства ведения, настройки, просмотра и сохранения журнала регистрации событий позволяют вести регулярный аудит безопасности системы.

Замечания
В эксплуатационной документации отсутствуют сведения об алгоритме хеширования паролей, что не позволяет точно оценить сложность их подбора.
При назначении роли (ролей) пользователям целесообразно ввести средства ограничений на совмещение разных ролей одним пользователем и количество пользователей, которым может быть одновременно назначена некоторая роль.